CVE-2026-105389
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wykryto podatność w feelec-yishu feelcrm-os 1.0.0. Dotyczy ona nieznanego przetwarzania w pliku App/Feelcrm/Crm/Controller/UploadController.class.php komponentu UploadTicketFile Endpoint. Manipulacja argumentem cmd prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego przesłania złośliwych plików na serwer, co może prowadzić do przejęcia kontroli nad systemem lub wykonania dowolnego kodu.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek lub tymczasowe wyłączenie komponentu UploadTicketFile, a także ograniczenie dostępu do niego. Należy monitorować publiczne informacje o poprawkach.
Inne podatności w feelcrm-os
Zobacz wszystkie- CVE-2026-105388Średnie
Zidentyfikowano słabość w feelec-yishu feelcrm-os 1.0.0. Podatność dotyczy funkcji index w pliku App/Feelcrm/Index/Controller/MemberController.class.php komponentu Member Endpoint. Manipulacja argumentem group_id powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie udostępniony i może być wykorzystany. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-105291Średnie
W feelec-yishu feelcrm-os 1.0.0 wykryto podatność w funkcji GroupController::index w pliku App/Feelcrm/Index/Controller/GroupController.class.php komponentu Department Search Endpoint. Manipulacja argumentem keyword prowadzi do cross site scripting, a atak można zainicjować zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-105290Wysokie
Wykryto podatność w systemie feelcrm-os 1.0.0 (projekt feelec-yishu). Dotyczy ona nieznanej części pliku App/Feelcrm/Index/Controller/GoogleController.class.php w komponencie getCurlData Endpoint. Manipulacja argumentem url może prowadzić do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-105289Niskie
W feelec-yishu feelcrm-os 1.0.0 wykryto lukę w funkcji htmlspecialchars_decode pliku App/Feelcrm/Common/Model/CrmDefineFormModel.class.php w komponencie Create Customer Endpoint. Manipulacja argumentem customer_form[remark] prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit został upubliczniony i może być wykorzystany; projekt nie odpowiedział na zgłoszenie.
- CVE-2026-105288Średnie
W feelec-yishu feelcrm-os 1.0.0 znaleziono podatność w funkcji IndexController::index w pliku App/ThinkPHP/Common/functions.php komponentu Crm Endpoint. Manipulacja argumentem redirect_url prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit został ujawniony publicznie i może być wykorzystany; projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-105287Średnie
W feelec-yishu feelcrm-os 1.0.0 wykryto lukę w nieznanej funkcji pliku App/Feelcrm/Crm/Controller/AjaxRequestController.class.php komponentu getMemberByGroups Endpoint. Manipulacja argumentem groups[] powoduje sql injection, a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany; projekt został poinformowany o problemie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in feelec-yishu feelcrm-os 1.0.0. This issue affects some unknown processing of the file App/Feelcrm/Crm/Controller/UploadController.class.php of the component UploadTicketFile Endpoint. Such manipulation of the argument cmd leads to unrestricted upload. The attack can be launched remotely. The exploit has been disclosed publicly and may be used. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS